일곱 번째 발걸음한 번의 실수가 전부의 실패가 되지 않게

정문에는 튼튼한 출입통제 장치가 있는데 뒷문이 열려 있다고 생각해 보세요. 정문 장치를 더 비싼 것으로 바꾸어도 뒷문 문제는 해결되지 않습니다. 공격자는 전체 구조에서 이용할 수 있는 약한 길을 찾습니다. 시스템에서도 강한 암호를 사용하면서 그 키를 누구나 읽을 수 있게 두거나, 방화벽을 설치하고도 관리자 계정을 허술하게 관리하면 다른 통로가 남습니다.

이 때문에 보안은 하나의 통제만 성공하기를 기대하지 않습니다. 앞의 통제가 실패하더라도 다음 통제가 접근을 제한하고, 이상을 알아내고, 피해에서 회복할 수 있도록 여러 수단을 겹칩니다. 이 원리를 심층 방어라고 부릅니다. 한 겹이 무너져도 그 실패가 곧바로 전체 침해가 되지 않도록 만드는 것입니다.

예를 들어 비밀번호를 다른 사람이 알아냈더라도 추가 인증이 남아 있다면 계정 접근이 더 어려워질 수 있습니다. 계정이 악용되더라도 그 계정에 필요한 권한만 주었다면 접근할 수 있는 범위를 제한하는 데 도움이 됩니다. 수상한 행동을 기록하고 확인하면 문제를 발견할 기회가 생깁니다. 여기서는 각 기술의 자세한 설정보다, 서로 다른 빈틈을 막는 역할이 이어진다는 점을 보겠습니다.

관리적·기술적·물리적 통제를 반드시 첫째 층, 둘째 층, 셋째 층의 고정 순서로 배치해야 한다는 뜻은 아닙니다. 실제 통제는 보호할 자산과 공격 경로에 맞게 겹칩니다. 사람과 교육, 운영은 그중 한 칸에서만 작동하지 않습니다. 계정을 만들고 권한을 검토하며 기록을 살피고 사고에 대응하는 전 과정에 관여합니다.

사람의 실수를 모두 없애겠다는 목표도 현실을 놓칠 수 있습니다. 누구든 낯선 메일에 속거나 잘못된 설정을 할 수 있습니다. 그래서 한 사람이 실수하더라도 피해가 제한되도록 설계합니다. 교육으로 실수 가능성을 줄이는 동시에, 그 실수 뒤에 남아 있어야 할 통제를 준비하는 것입니다. 보안의 책임을 사용자 한 사람에게 모두 넘기지 않는 관점이 필요합니다.

필요한 작업에 필요한 권한만 주는 최소 권한 원칙은 피해의 범위를 줄이는 데 쓰입니다. 읽기만 하는 보고서 서비스에 자료 삭제 권한까지 주지 않는 것이 한 예입니다. 권한은 처음 만들 때만 정하지 않고 업무가 바뀌거나 끝날 때 회수해야 합니다. 다른 통제가 실패하더라도 그 계정이 할 수 없는 행동이 남아 있어야 합니다.

서로 확인해야 할 중요한 일을 한 사람의 단독 권한으로 끝내지 않도록 역할을 나누는 것을 직무분리라고 합니다. 결제 요청자와 승인자를 구분하면 실수와 부정행위가 확인 없이 진행될 가능성을 줄일 수 있습니다. 같은 사람이 다른 이름의 두 계정을 모두 사용한다면 겉으로 역할이 나뉘어 있어도 그 목적은 약해집니다.

심층 방어에서는 통제끼리 같은 약점에 함께 무너지지 않는지도 살핍니다. 운영 자료와 백업을 같은 관리자 계정으로 언제든 삭제할 수 있다면 계정 하나의 침해로 둘 다 잃을 수 있습니다. 장비 두 대를 두었지만 같은 전원과 같은 장애 지점에 매달려 있다면 이중화의 효과도 제한됩니다. 통제의 수뿐 아니라 실패가 서로 얼마나 연결되어 있는지를 봅니다.

참고　[6] · [7]